OT-beveiliging: wat de gehackte koelinstallaties ons leren

De koeling deed het gewoon. Tot iemand op afstand de temperatuur omhoog draaide. In de nacht van 1 op 2 november gebeurde precies dat bij supermarkten en winkels in België, Nederland en Zweden. In Nederland ging het volgens leverancier Danfoss om minstens 17 bedrijven, waaronder slagers en kleine buurtwinkels. Het is een schoolvoorbeeld van OT-beveiliging die achterblijft, en het raakt veel meer bedrijven dan alleen supermarkten.

Wat er precies gebeurde

Volgens Computable werden in België minstens 40 Delhaize-winkels getroffen, plus vestigingen van Carrefour en Spar. In Zweden hadden ICA en Coop vergelijkbare problemen. Koel- en vriessystemen werden gemanipuleerd, waardoor temperaturen plotseling opliepen.

Hoe de aanvallers binnenkwamen, is nog niet officieel bevestigd. Danfoss zegt wel dat de getroffen systemen niet in een afgeschermd netwerk hingen en nog een standaardwachtwoord gebruikten. Het lijkt sterk op een aanval in oktober op meer dan 350 Franse supermarkten. Na die aanval adviseerde Danfoss klanten al om deze systemen van internet los te koppelen. De winkels die dat niet deden, werden nu geraakt.

Wat is OT eigenlijk?

OT staat voor operationele technologie: alles wat iets fysieks aanstuurt. Denk aan koel- en vriesinstallaties, productielijnen, klimaatbeheersing, toegangspoorten en weegbruggen. IT gaat over informatie, zoals je mail en je administratie. OT gaat over machines.

Vroeger stonden die machines los van alles. Tegenwoordig wil de installateur op afstand meekijken, dus hangt het regelkastje aan internet. Dat is handig, maar wat jouw installateur kan bereiken, kan een ander ook bereiken als de deur niet goed op slot zit.

Niemand deed iets fout, en toch ging het mis

Zo’n koelinstallatie wordt meestal geplaatst door een installatiebedrijf, niet door je ICT-partner. Het standaardwachtwoord blijft staan omdat het werkt, en niemand voelt zich eigenaar van de beveiliging. De technische dienst denkt dat ICT het regelt, ICT weet niet dat het kastje bestaat en de installateur kijkt alleen of de koeling koud is.

Orange Cyberdefense wees er terecht op dat OT anders werkt dan een kantoorcomputer. Je kunt een koelinstallatie niet zomaar herstarten voor een update. Dat vraagt afstemming tussen technische dienst, ICT en onderhoudspartij. Die afstemming is precies wat vaak ontbreekt.

Waarom dit ook jouw bedrijf raakt

Werk je in voedingsmiddelen, productie of logistiek, dan heb je waarschijnlijk koelcellen, vriezers, productielijnen of gebouwbeheer met een internetaansluiting. Een paar graden te warm in een koelcel betekent bedorven voorraad. Een productielijn die stilvalt, kost je per uur omzet.

Valt je bedrijf onder de Cyberbeveiligingswet, dan horen deze systemen gewoon in je risicoanalyse. Maar ook zonder die wet is het verstandig. Beveiligingsexpert Jan Guldentops zei het in Computable treffend: regelgeving alleen is niet genoeg, het gaat om praktische weerbaarheid.

Vijf vragen om zelf na te gaan

Welke apparaten in ons pand zijn via internet bereikbaar, ook die van de installateur of leverancier?
Is het standaardwachtwoord op die systemen ooit veranderd?
Wie heeft toegang op afstand, en hoe: via een beveiligde verbinding of via een open poort?
Wie is eigenaar van de beveiliging: de technische dienst, de installateur of de ICT-partner? En weten ze dat van elkaar?
Wat doen we als de koeling of de lijn ineens raar doet, en wie belt dan wie?

Kun je een van deze vragen niet direct beantwoorden, dan is dat geen schande. Het is wel een goed moment om het uit te zoeken.

Zo pakken wij dit aan

Bij onze klanten brengen we eerst in kaart welke apparaten aan het netwerk hangen, ook de apparaten waar ICT normaal niet naar kijkt. Installaties zetten we in een eigen, afgeschermd deel van het netwerk. Vergelijk het met een aparte ruimte in je pand: wie in de kantine staat, loopt niet zomaar de machinehal in. Toegang op afstand regelen we via een beveiligde verbinding in plaats van een open poort, en we maken heldere afspraken met de installateur over wachtwoorden en onderhoud.

Meer over onze aanpak lees je bij ICT-beveiliging en continuïteit en in ons artikel over cybersecurity in drie pijlers.

Twijfel je of jouw koelcel, productielijn of gebouwbeheer zomaar vanaf internet bereikbaar is? Wij kijken graag vrijblijvend met je mee. Neem contact op.

Veelgestelde vragen

Wat is OT-beveiliging?

OT-beveiliging is het beschermen van operationele technologie: systemen die iets fysieks aansturen, zoals koelinstallaties, productielijnen, klimaatbeheersing en toegangspoorten. Het doel is voorkomen dat iemand van buitenaf die systemen kan bedienen of stilleggen.

Hoe konden hackers de koelinstallaties overnemen?

De precieze methode is nog niet officieel bevestigd. Volgens leverancier Danfoss hingen de getroffen systemen niet in een afgeschermd netwerk en gebruikten ze nog een standaardwachtwoord. Daardoor waren ze vanaf internet te bereiken en relatief eenvoudig over te nemen.

Hoe weet ik of mijn koelinstallatie via internet bereikbaar is?

Vraag je installateur of de installatie op afstand te beheren is en hoe die verbinding loopt. Je ICT-partner kan daarnaast controleren welke apparaten in je netwerk vanaf internet zichtbaar zijn. Een open poort of een webportaal zonder extra beveiliging is een duidelijk signaal.

Is mijn productielijn ook kwetsbaar?

Dat hangt af van hoe de lijn is aangesloten. Productiemachines met een eigen internetverbinding voor onderhoud op afstand hebben hetzelfde risico als de koelinstallaties uit het nieuws. Het verschil zit in een afgeschermd netwerk, sterke wachtwoorden en een beveiligde verbinding voor beheer op afstand.

Moet ik mijn koelinstallatie van internet afhalen?

Dat adviseerde Danfoss na de aanval in Frankrijk voor de betrokken systemen. Heb je toegang op afstand echt nodig, dan kan het ook veilig, via een beveiligde verbinding en in een afgeschermd deel van het netwerk. Wat niet kan, is een installatie die met een standaardwachtwoord open op internet staat.

Wie is verantwoordelijk voor de beveiliging van installaties?

Uiteindelijk ben je dat als bedrijf zelf. In de praktijk werken de installateur, de technische dienst en de ICT-partner samen. Leg vast wie wachtwoorden beheert, wie toegang op afstand mag hebben en wie gebeld wordt als er iets misgaat.

Valt OT onder de Cyberbeveiligingswet?

Als je organisatie onder de Cyberbeveiligingswet valt, moet je de risico’s voor je netwerk- en informatiesystemen beheersen. Systemen die je productie of koeling aansturen horen daarbij. Twijfel je of je onder de wet valt, lees dan ons bericht over de Cyberbeveiligingswet of neem contact op.

Onze filosofie: ICT Zonder Gedoe

GOsensit behartigt alle ICT-belangen van haar opdrachtgevers. Op strategisch niveau maken we afspraken over het ICT-beleid. Op tactisch niveau richten we samen de processen in die zorgen voor een vloeiende uitvoering. Ook op operationeel niveau zorgen we voor professionele kennis en gebruiken we geautomatiseerde systemen ten behoeve van support, incidentmanagement, projectmanagement, assetmanagement, CRM, proactief beheer, documentatiesystemen enzovoorts. We doen dat tegen een vast bedrag per maand zodat jouw ICT-kosten voorspelbaar zijn. Bovendien hebben we er zo beide baat bij dat jouw ICT-omgeving probleemloos werkt, want het oplossen van ICT-problemen is voor onze rekening.

Wij noemen dat ICT zonder gedoe. Ben je benieuwd hoe ICT zonder gedoe jouw bedrijf kan helpen? Vragen staat vrij!